SFTP集中式/分布式

集中式/分布式SFTP（NDC→WorkingVM）传输方式与目录限制

一、核心架构角色前置说明

传输方向固定：NDC业务主机 → WorkingVM，两种架构的服务端、客户端角色完全反转，决定了传输方式与目录限制规则。

二、集中式SFTP架构（旧架构）

1. 数据传输方式（NDC→WorkingVM）

角色定位：WorkingVM = SFTP服务端，NDC主机 = SFTP客户端
传输逻辑：NDC主动推送数据至WorkingVM

• 所有NDC主机主动发起SFTP连接，访问WorkingVM服务端
• 将本地业务文件、日志数据主动上传、推送至WorkingVM指定目录
• 全程单向传输：客户端（NDC）主动写，服务端（WorkingVM）被动接收

2. 目录权限限制规则

• WorkingVM（服务端）：统一配置全局SFTP目录、用户权限、Chroot禁锢目录，所有NDC的上传目录、读写权限、存储空间统一管控。可限制指定NDC仅能访问专属上传目录，禁止跨目录篡改、删除其他业务数据。
• NDC主机（客户端）：无服务端目录限制，仅受自身本地文件权限约束，仅负责读取本地数据、推送至服务端指定路径。

核心特点：目录权限集中限制，所有目录规则、权限策略全部由WorkingVM统一管控。

三、分布式SFTP架构（新架构）

1. 数据传输方式（NDC→WorkingVM）

角色定位：NDC主机 = SFTP服务端，WorkingVM = SFTP客户端
传输逻辑：WorkingVM主动拉取NDC数据

• WorkingVM作为客户端，主动批量连接每一台NDC服务端
• 远程读取NDC本地文件，将数据拉取、同步至自身本地目录
• 全程被动传输：服务端（NDC）待命，客户端（WorkingVM）主动拉取数据

2. 目录权限限制规则

• NDC主机（服务端）：每台NDC独立配置SFTP权限、Chroot禁锢目录，严格限制WorkingVM的访问范围。仅开放指定数据目录供WorkingVM读取，禁止访问系统目录、其他业务目录，限制仅可读、不可写、不可删本地原始数据。
• WorkingVM（客户端）：无远端目录管控权限，仅能在NDC授权的目录范围内拉取数据，仅对自身本地存储目录有读写权限。

核心特点：目录权限分布式独立限制，由每台NDC自主管控本地目录访问权限。

3. 两种架构目录规则对标总结

• 集中式SFTP：NDC put推送 → WorkingVM 固定share根目录 → 按账号分独立子目录隔离存储。
• 分布式SFTP：WorkingVM get拉取 → 读取各NDC本地隔离授权目录 → 下载至WorkingVM自定义本地目录，原始数据留存NDC。

四、两种架构核心差异

集中式 & 分布式 SFTP 完整部署步骤（Markdown 实操版）

适用环境：RHEL/CentOS/Rocky Linux，角色固定：NDC业务主机、WorkingVM运维主机

一、集中式SFTP部署（WorkingVM为服务端，NDC全部为客户端）

架构逻辑

WorkingVM 搭建全局SFTP服务 → 按NDC系统创建独立账号 → Chroot禁锢到/share/账号名目录隔离 → NDC主动sftp put上传文件到对应目录。

1. WorkingVM（服务端）部署步骤

步骤1：前置环境检查

# 确认openssh已安装